Hvem der udfører leverandørauditten, afgøres af tre ting: hvad kontrakten kræver af auditoren, hvor uafhængig auditoren skal være af leverandøren, og hvad resultatet skal bruges til. Egne folk, en revisor og en uvildig rådgiver giver tre forskellige slags resultater, og de kan ikke altid erstatte hinanden.
Uafhængigheden måles her i forhold til leverandøren. Det er det, der adskiller valget fra den almindelige beslutning om, hvem der skal auditere jeres egen virksomhed.
Hvad kontrakten kan kræve
Statens standardkontrakt K04 er en offentlig model, men den viser, hvordan en aftale kan binde valget. Når kunden selv auditerer efter punkt 16, kræver K04 en ekstern og uvildig auditor med anerkendt kompetence på den slags ydelser. Leverandøren må ikke modsætte sig kundens valg uden saglig grund. En konkurrent til leverandøren kan ikke bruges, og leverandøren kan forlange fortrolighed og overholdelse af sine sikkerhedsregler.
K04 har også en anden mekanisme. Punkt 15 forpligter leverandøren til en årlig revision ved en statsautoriseret revisor, som leverandøren selv vælger. Det er leverandørens revisor, og resultatet er en erklæring til kunden.
Digitaliseringsstyrelsens katalog for samfundskritiske systemer fra 2022 bruger en anden formulering for den årlige revision: et revisionsfirma med anerkendt ekspertise inden for it-revision.
Læs jeres egen aftale først. Står der intet om auditorens person, er valget friere. Forvent alligevel indsigelse, hvis auditoren selv er konkurrent til leverandøren. K04’s regel om netop det viser, hvad der er sædvanligt.
Når leverandøren er databehandler
For databehandlere har kunden en stærkere stilling. Databeskyttelsesforordningens artikel 28, stk. 3, litra h, taler om revisioner foretaget af den dataansvarlige eller en anden revisor, som den dataansvarlige har bemyndiget. EU’s standardbestemmelser 2021/915 siger tilsvarende, at den dataansvarlige kan gennemføre revisionen selv eller bemyndige en uafhængig revisor.
Databeskyttelsesrådet (EDPB) skriver i sine retningslinjer, at databehandleren må foreslå en bestemt auditor, men at den endelige beslutning efter artikel 28 ligger hos den dataansvarlige. Det er rådets fortolkning, men den er klar.
Ifølge Datatilsynet skal en tredjepart, der fører tilsyn, først og fremmest være uafhængig af databehandleren. Fælles koncern eller økonomiske bånd mellem de to kan være et problem.
De tre muligheder side om side
- Uafhængighed af leverandøren · Egne folk: Høj, men I er part · Revisor: Afhænger af, hvem der har bestilt · Uvildig rådgiver: Høj, hvis ingen bindinger til leverandøren
- Resultat · Egne folk: Intern rapport · Revisor: Erklæring efter en standard · Uvildig rådgiver: Rapport med fund og anbefalinger
- Kan opfylde K04 punkt 16 · Egne folk: Nej, auditøren skal være ekstern · Revisor: Ja, hvis anerkendt til ydelsen · Uvildig rådgiver: Ja, hvis anerkendt til ydelsen
- Typisk brug · Egne folk: Spørgeskema, opfølgning, mindre audits · Revisor: Leverandørens årlige erklæring · Uvildig rådgiver: Kundens egen audit hos leverandøren
Tabellen er vores sammenfatning af kilderne ovenfor.
Egne folk kender jeres behov og jeres del af ydelsen bedst. Statens vejledning om leverandørforhold nævner ekstern audit foretaget af kunden selv som én kontrolform, og Energistyrelsens vejledning nævner egne medarbejdere som en mulighed. Begrænsningen er kompetence og tid, og at en aftale som K04 kan kræve en ekstern auditor.
En revisor afgiver erklæringer med sikkerhed efter standarder som ISAE 3000 og ISAE 3402. Revisorloven omfatter godkendte revisorers erklæringer med sikkerhed, når de skal bruges af andre end den, der bestilte dem, og titlen statsautoriseret revisor er beskyttet. Vi læser loven sådan, at en rapport med fund og anbefalinger falder uden for lovens erklæringsbegreb. Det er en tolkning.
En uvildig rådgiver gennemfører auditten på jeres vegne og leverer en rapport med fund. Værdien ligger i, at auditoren ikke har forhandleraftaler eller andre bindinger til leverandøren, og at rapporten er skrevet til jer.
Hvem har bestilt, og hvem betaler
En erklæring, leverandøren selv har bestilt hos sin revisor, er stadig uafhængig efter erklæringsstandarden. Men omfanget er valgt af leverandøren. Har databehandleren selv peget på auditoren, kan kunden efter rådets retningslinjer stadig gøre indsigelse mod omfang, metode og resultat. Mere om forskellen står i hvem har bestilt rapporten.
Kompetencen til opgaven
I finanssektoren kræver DORA, at enheden tjekker revisorernes faglige kunnen, når ydelsen er teknisk kompleks. Det gælder uanset, om de er interne eller eksterne. For andre er det en god kontrol at gøre før valget: kender auditoren den type ydelse, der skal auditeres?
Spørg også, om auditoren tidligere har arbejdet for leverandøren, og i hvilken rolle. En tidligere opgave kan være uproblematisk. Den bør alligevel komme frem, før valget træffes, så I selv kan vurdere den.
Den almene vurdering af, hvem der skal auditere jeres egen sikkerhed, er beskrevet under valg af auditor til jeres egen audit.
Har I brug for en uvildig auditor til kundens egen audit hos leverandøren, kan Nielco IT tage den opgave. Resultatet er en rapport med fund, og erklæringer med sikkerhed afgives af revisorer.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at aftalens krav til auditoren er læst, at auditorens uafhængighed af leverandøren er afklaret, og at I ved, om I har brug for en erklæring eller en rapport med fund. Den sidste forskel bestemmer valget.
Vælger I forkert, kan leverandøren afvise auditoren, eller I står med et resultat, der ikke kan bruges til det, det var tænkt til.
Det skal I lade være med
- At vælge en auditor med bindinger til leverandøren · uafhængigheden er hele pointen.
- At bede en rådgiver om en erklæring med sikkerhed · en rapport med fund er en anden slags dokument.
- At overse kontraktens krav til auditøren · leverandøren kan afvise en, der ikke opfylder dem.
Det skal auditten kunne vise
- ☐ Aftalens krav til auditoren og hvordan valget opfylder dem.
- ☐ En erklæring om auditorens uafhængighed af leverandøren.
- ☐ Begrundelse for valget af erklæring eller rapport.
- ☐ Leverandørens accept eller indsigelse og jeres svar.
Kilder
- Digitaliseringsstyrelsen, K04 Standardkontrakt for it-drift, punkt 15 og 16, læst 12. november 2026.
- Digitaliseringsstyrelsen, Katalog over kontraktbestemmelser for samfundskritiske it-systemer, marts 2022, afsnit 4.1.2, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 28, læst 12. november 2026.
- Kommissionens gennemførelsesafgørelse (EU) 2021/915, bestemmelse 7.6, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 144, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 5, læst 12. november 2026.
- Revisorloven, lovbekendtgørelse nr. 206 af 20. februar 2025, § 1, stk. 2, og § 5, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 6, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find bestemmelsen om auditorens person i jeres vigtigste aftale, og skriv kravene op, før I spørger nogen.
Læs også: Indkøb, IT eller kontraktejer · Fortrolighed og adgangsregler for auditoren
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
